1 David Adrián Gómez Diciembre 2013 Trabajo Final de Grado Alumno David Adrián Gómez Carrera Licenciatura en Sistemas y Gestión Profesor Tutor Diego Esteve.

Presentación del tema: "1 David Adrián Gómez Diciembre 2013 Trabajo Final de Grado Alumno David Adrián Gómez Carrera Licenciatura en Sistemas y Gestión Profesor Tutor Diego Esteve."— Transcripción de la presentación:

1 1 David Adrián Gómez Diciembre 2013 Trabajo Final de Grado Alumno David Adrián Gómez Carrera Licenciatura en Sistemas y Gestión Profesor Tutor Diego Esteve

2 David Adrián Gómez Diciembre 2013 Trabajo Final de Grado Prevención de Fuga de Información en Empresas

3 Agenda Introducción 01 Objetivo 02 03 04 Conclusiones 05 David Adrián Gómez Diciembre 2013 Metodología Propuesta

4 Introducción 01

5 5 David Adrián Gómez Diciembre 2013 Introducción Uno de los problemas principales que deben abordarse en las organizaciones, es la identificación, clasificación y protección de la información y los datos críticos que posee la Compañía. Prevención de Fuga de Información en Empresas 01

6 6 David Adrián Gómez Diciembre 2013 Introducción Una mala administración de estos aspectos expone a una Empresa a pérdidas o robo de información. El impacto de una filtración o robo de información abarca desde multas por disposiciones legales, hasta la pérdida de imagen, de cara a la opinión pública. Prevención de Fuga de Información en Empresas 01

7 7 David Adrián Gómez Diciembre 2013 Introducción Que es un DLP ? 01 La Prevención de Fuga / Pérdida de Información (conocidas como DLP - Data Loss Prevention), son las actividades, herramientas y mecanismos empleados para prevenir el uso no autorizado de información de una organización.

8 8 David Adrián Gómez Diciembre 2013 Introducción Marco Regulatorio 01 La DNPDP es el órgano de control creado en el ámbito Nacional, para la efectiva protección de los datos personales. Tiene a su cargo el Registro y el Control de las Bases de Datos de las Empresas.

9 Objetivo 02

10 10 David Adrián Gómez Diciembre 2013 Objetivo 02 El objetivo del presente trabajo, es proponer un método de Revisión que permita conocer el estado y la efectividad de los controles establecidos en una Empresa, en relación a la identificación, clasificación y protección de la información.

11 11 David Adrián Gómez Diciembre 2013 Objetivo 02 Para la elaboración y desarrollo de la propuesta, se han investigado diferentes herramientas que ofrece el mercado, y se han utilizado técnicas y estándares internacionales, que garanticen la cobertura de los controles necesarios. COBIT ITIL ISO 27001 BS799 ISACA Soluciones DLP del Mercado

12 Metodología Propuesta 03

13 13 David Adrián Gómez Diciembre 2013 03 Metodología Propuesta – Áreas de Control La propuesta de Revisión, comprobará el grado de control existente en las siguientes áreas : A- Políticas y Estrategia B- Clasificación de la información C- Respuesta ante incidentes D- Comunicaci ones (Data in Motion) E- Repositorio de Datos (Data at Rest) F- Seguridad en los equipos (Data in Use)

14 14 David Adrián Gómez Diciembre 2013 Metodología Propuesta – Caso de Aplicación 03 Para empezar la Revisión en una Empresa, utilizamos una matriz en formato Excel, en la cual incluimos las 6 áreas de control detalladas anteriormente. Seguidamente se solicita completar un conjunto de actividades, poniendo en cada ítem un breve descriptivo y una puntuación o valoración numérica objetiva, en función a lo observado.

15 15 David Adrián Gómez Diciembre 2013 03 Metodología Propuesta – Áreas de Control En el siguiente ejemplo vemos la Matriz propuesta con cada actividad que debemos completar: Puntuación / Valoración

16 16 David Adrián Gómez Diciembre 2013 03 Metodología Propuesta – Áreas de Control – cont.

17 17 David Adrián Gómez Diciembre 2013 Metodología Propuesta – Resultados Parte 1 03 Una vez completamos las 6 áreas y las 80 actividades de control que solicita la metodología, en el siguiente ejemplo del caso aplicativo mostramos un posible Resultado Total (circulo en rojo), obtenido a partir de la valoración y ponderación hipotética de cada una de ellas.

18 18 David Adrián Gómez Diciembre 2013 Metodología Propuesta – Resultados Parte 2 03 Utilizando los valores del mismo ejemplo del slide anterior, observamos a nivel gráfico, las áreas que necesitan más atención y sobre las cuales la Empresa debería planificar una estrategia de remediación. urgente. Valoración: = 95% Satisfactorio. Área de Control Prioritaria

19 Conclusiones 04

20 20 David Adrián Gómez Diciembre 2013 Conclusiones 04 Las soluciones y herramientas informáticas que ofrecen los diferentes proveedores del mercado para salvaguarda de los datos pueden ser complejas y propensas a afectar otros procesos y la cultura de la organización si se aplican de manera indebida y apresurada. Por lo cual una correcta valuación de la situación actual resulta fundamental.

21 21 David Adrián Gómez Diciembre 2013 Conclusiones 05 Utilizar la metodología propuesta, permitirá obtener una puntuación por cada una de las áreas de control evaluadas, lo cual nos dará una valoración e información relevante sobre el estado y el ambiente de control vigente, antes de la toma de cualquier decisión.

22 22 David Adrián Gómez Diciembre 2013 Conclusiones 05 Contar con una evaluación previa, resulta primordial para una planificación y preparación cuidadosa de un programa que permita desplegar una estrategia de prevención y detección de potenciales eventos de fuga de la información en Empresas.

23 23 David Adrián Gómez Diciembre 2013 Referencias 05 Para conocer más sobre soluciones DLP, como así también para profundizar sobre aspectos relacionados con la prevención de Fugas de Información, se adjuntan los siguientes enlaces: [1] Sitio Oficial de WikiLeaks: https://wikileaks.org/wiki/Wikileaks [2] NSA Documentos filtrados por Edward Snowden: http://www.theguardian.com/world/2013/jun/23/edward-snowden-nsa-files-timeline [3] DLP – Data Leak Prevention: http://www.isaca.org/Knowledge- Center/Research/ResearchDeliverables/Pages/Data-Leak-Prevention.aspx [4] Data in Motion: https://access.redhat.com/site/documentation/en- US/Red_Hat_Enterprise_Linux/6/html/Security_Guide/Security_Guide-Encryption- Data_in_Motion.html [5] Data at Rest: http://en.wikipedia.org/wiki/Data_at_Rest

24 24 David Adrián Gómez Diciembre 2013 Referencias – cont. 05 [6] Data in Use: http://www.techopedia.com/definition/29515/data-in-use [7] Clasificación de la Información: https://iso27002.wiki.zoho.com/7-2- Clasificaci%C3%B3n-de-la-Informaci%C3%B3n.html [8] DPI – Inspección profunda de paquetes: http://es.wikipedia.org/wiki/Inspecci%C3%B3n_profunda_de_paquete [9] McAfee DLP Solution:http://www.mcafee.com/mx/products/total-protection-for- data-loss-prevention.aspx [10] Microsoft DLP Solution: http://technet.microsoft.com/en- us/library/jj150527(v=exchg.150).aspx [11] Symantec DLP Solution: http://www.symantec.com/data-loss-prevention

25